Security-X
Forum Security-X => Désinfections => Discussion démarrée par: themegalol le janvier 04, 2014, 22:15:08
-
Bonjour,
j'ai eu une mauvais surprise ce matin en mettent mon antivirus à jour, en l'espace de 5 mins le temps de désinstallé l'ancien et mettre le nouveau (Kaspersky) je me suis rendu compte que mon HDD externe bossais, c'est là que j'ai vu mon HDD ce faire attaquer, donc j'ai coupé de suite le PC et restauré mon PC le 03.01 pour ne pas avoir le virus revenir. Donc cette fois je déconnecte mon PC d’internet pour refaire la manip cité.
Mais, bah oui y a toujours une mais, je regardé mon HDD et là mauvais surprisse, j'ai mes fichier 60% avi,pdf,jpeg,mkv etc qui finissent avec une extension locked exemple photodemafille.jpg.locked et à la racine de chaque dossier un fichier README TO UNLOCK qui stipule;
"Your files are locked and encrypted with a unique RSA-1024 key!
To regain access you have to obtain the private key (password).
++++++++++++++++++++
To receive your private key (password):
Go to http://u5ubeuzamg54x5f3.onion.to and follow the instructions.
You will receive your private key (password) within 24 hours.
Your ID# is 28403489
If you can't find the page, install the Tor browser (https://www.torproject.org/projects/torbrowser.html.en) and browse to
http://u5ubeuzamg54x5f3.onion
++++++++++++++++++++
BEWARE - this is NOT a virus.
The ONLY way to unlock your files/data is to obtain your private key (password) or you may consider all your data lost.
You have just 5 days before the private key (password) is deleted from our server, leaving your data irrevocably broken.
++++++++++++++++++++
LOCKED ON POSSESSION OF COPYRIGHTED MATERIAL AND SUSPICION OF (CHILD)PORNOGRAPHIC MATERIAL."
j'ai bien sur cherché sur le net avant de poster ici, je suis tombé sur plusieurs sites qui parlais d'un fix "RannohDecryptor" ou faut avoir 2 fois le même fichier (une qui est pas infecté et l'autre infecté) pour que le programme trouve la clé de décryptage et fait de même pour les autres fichiers, malheureusement pour moi, c'est pour un autre virus qui lui commence part locked-nomdufichier.jpg donc ça ne fonctionne pas, et c'est des fix qui date de 2012, je trouve dingue de pas trouver d'autres personnes qui ont ce problème?
Bien évidemment je suis super embêté, j'ai toutes les photos de ma fille qui sont là mais illisible, si une personne connais une solution...
Un grand merci d'avance.
-
:AAC Bonjour,
Malheureusement, si c'est l'encrypteur que je pense, tu peux déjà tirer un trait sur tes fichiers ... :(
Pour infos, ce genre d'infection ne vient pas d'une mise à jour légitime.
Soit tu as téléchargé l'antivirus depuis un site non recommandable, soit c'est un crack.
Soit tu as visité des sites de streaming/téléchargement illégaux avec un système non à jour.
Ou encore tu as ouvert une pièce jointe à un mail inconnu.
On va faire deux choses pour voir :
Télécharge Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) (de Farbar) sur ton Bureau.
Attention: Tu dois lancer la version compatible avec ton système : 32 ou 64bits.
Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
- Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
- Clique sur le bouton Scan.
- L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
- A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).
Poste les deux rapports générés.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
2) Va sur ce site :
http://www.virustotal.com/fr/
Clique sur "Choisir un fichier" puis un des fichier marqué "locked"
Une fois sélectionné, clique sur "Analyser !", l'envoi va commencer.
S'il te dit que ce fichier a déjà été analysé, redemande une analyse (bouton "Réanalyser"), et/ou laisse faire l'analyse jusqu'à avoir "Analyse complète" en haut
Copie alors l'adresse dans la barre d'adresse de ton navigateur, puis donne-la moi dans ta prochaine réponse.
:AAN
-
Hello hyunkel30 merci pour ton aide...
Alors comment j'ai chopé ce virus bonne question, comme tu cites, je suis pas allé sur des sites ou autres, j'ai juste voulut supprimer mon antivirus et mettre le nouveau sur le site officiel sans crack avec licence acheté de Kaspersky.
1.J'ai télécharger le programme que tu ma dit "Farbar Recovery Scan Tool" et j'ai fait le scan ça donne ça
http://up.security-x.fr/file.php?h=R5f56eaba09cd1c5a52f601b858336091
http://up.security-x.fr/file.php?h=R116146db7d7e367673a58d09c718aed4
Je ne sais pas si c'est utile de le scanner, vu que j'ai restauré le PC.
2. je suis allé sur le site demandé http://www.virustotal.com/fr/
Et ça donne ça https://www.virustotal.com/fr/file/95d27b8580d32aeecaded13b7851ca207b4dbb02d65df06b373e8137c3eaeb20/analysis/1388930049/
Merci pour ton aide, j'espère que c'est pas le virus que tu panses, je suis bien dans la m...
-
Re,
Pas de trace d'infection sur le rapport.
Le disque dur externe en question a-t-il était branché sur d'autres PC avant le tien ?
Il était branché là ?
S'il ne l'était pas, peux-tu le brancher et faire ceci s'il te plait ?
Télécharge UsbFix (http://www.usbfix.net/?wpdmdl=3) (de El Desaparecido) sur ton Bureau.
/!\ Déconnecte-toi et ferme toutes les applications en cours /!\
/!\ Branche tous tes périphériques ayant pu être infectés (clés usb, disque dur externe, etc ...) /!\
- Double-clique sur "UsbFix" pour lancer le programme
(Utilisateur de Vista/Windows 7, clique-droit sur UsbFix > Exécuter en tant qu'administrateur)
- Clique sur "Recherche" pour lancer le scan. Branche tes périphériques si ce n'est pas fait, puis valide l'avertissement.
- Laisse travailler l'outil.
- A la fin, un rapport apparaitra (sinon, il est situé ici C:\Usbfix.txt). Poste-le dans ta prochaine réponse
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
-
Re,
Alors non mon HDD à toujours était branché sur le même PC, ça fait 4 mois que je suis passé un HDD 4To, mais malheureusement j'ai plus l'ancien, sinon j'aurais récupéré les fichiers dessus même si je l'avais formaté...
Pour les tests que tu ma demandé oui il étais branché, c'est le 4To dans le rapport. Actuellement il est toujours branché.
Voilà le rapport http://up.security-x.fr/file.php?h=R879f175aff5f157022d557d04e7ea7c2
Ce que je trouve incroyable, c'est que j'ai un autre HDD de 2To lui il n'a rien eu, mais l'autre de 4To nommé Médias y a 60% des fichiers touchés...
-
Re,
Moi ce que je trouve étonnant, c'est de n'avoir aucune trace de l'infection ...
Est-ce que tu penses pouvoir trouver deux fichiers identiques, l'un "locked", l'autre non ?
Cela nous servirait à trouver quel type de cryptage et d'infection nous avons, et voir s'il y a une solution.
Si tu trouves cela, commence déjà par me dire s'ils ont une différence de "poids" en octet.
-
Re moi toujours^^
Alors oui j'ai les 2 fichiers (euh regarde pas top la photo, c'est la seul que j'ai trouvé^^)
la non infecté
l'infecté http://up.security-x.fr/file.php?h=R5f14dab9102ec421e9f61568bd006729
Et là c'est à quoi ressemble un de mes dossier du HDD, avec en bas le fichier text.
http://up.security-x.fr/file.php?h=R18a78aa0fa880da4e79a7c27a428bf8d
-
A oui quand je dis infecté ça veux pas dire qu'il y a un virus dans la photo.
Pour la taille aucune différance, et j'ai déjà tenté de renomme simplement les fichiers, il sont corrompu ou illisible après...
-
Re,
Oui alors j'ai viré le lien de la photo, j'en avais pas besoin, et y'a des âmes sensible ici ;)
Bon, on va tenter un outil pour voir, mais je suis assez sceptique ...
Télécharge RannohDecryptor (http://support.kaspersky.com/downloads/utils/rannohdecryptor.exe) (de Kaspersky) sur ton bureau.
- Ferme toutes tes fenêtres, puis double clique sur RannohDecryptor.exe pour le lancer
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
- Sélectionne tous les lecteurs à analyser dans Change parameters et valide par OK
- Clique sur Start scan
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsupport.kaspersky.com%2Fimages%2Fsupport_new%2F8547-1-en.png&hash=cab29ed21569d4fa48937c9997907ad61d4d35a5)
- L'utilitaire va chercher les fichiers cryptés, il faudra lui indiquer le chemin d'un fichier non crypté quand demandé
- L'outil va, par comparaison entre les 2 fichiers, identifier le mode de cryptage et pouvoir ainsi appliquer le décryptage correspondant à tous tes fichiers locked
- Un rapport RannohDecryptor.Version_Date_Time_log.txt est enregistré sous C:\
- Poste simplement les dernières lignes du rapport dans ta prochaine réponse.
- Après vérification, tu peux supprimer les copies de fichiers cryptés avec le nom locked si le décryptage a réussi, avec l'option Delete crypted files after decryption dans Change parameters -> Additional options
Merci à Chantal11 pour la procédure
-
Oui j'avais déjà effectué cette opération...
Mais je l'ai refait, pour te donner les infos que tu as besoin.
L'image ou le prog me donne une erreur... http://up.security-x.fr/file.php?h=R5fbbd85ade7224f312e2723a29589f83
le rapport du programme http://up.security-x.fr/file.php?h=Rb366d2d32144f445b0b2e01554d3e151
Je suis de plus en plus largué avec cette histoire...
-
Re,
En y réfléchissant, la restauration effectuée a dû supprimer le crypteur je pense, ce qui m'empêche de connaitre la variante en cause.
Sans cela, impossible de savoir.
Néanmoins, dans tous les cas, je pense qu'il n'y a aucune chance de récupérer les documents.
Ce genre de crypteur, sachant que la taille est identique, encrypte avec une clé unique. Pas comme certaines variantes où c'est plutôt une modification du fichier qui peut être retrouvée.
Je ne peux malheureusement rien faire pour toi.
Je reste assez étonné de l'origine de l'infection dans tous les cas, car normalement c'est soit via pièce jointe de mail, soit par programme cracké, soit en visitant des sites de téléchargement/streaming.
Je ne comprends pas comment une mise à jour de Kaspersky pourrait être en cause ...
-
Bah disons que j'ai vite restauré pour éviter d'infecter d'avantage mon HDD...
J'en ai vue des virus, mais des comme ça jamais...
Je suis très minutieux, je vais rarement sur des site de téléchargement, c'est mon frère qui me donne des trucs, j'ai pas le temps chercher. C'est justement ce que je comprend pas, mon PC devais êtres surement déjà infecté et quand j'ai supprimé Kaspersky le virus c'est développé ?!
C'est un grand mystère, mais un grand merci de ton aide, je vais voir avec mon frère si il as une partie des fichiers, mais le plus dramatique c'est les photos de ma fille :-[